¿Cada cuánto debe actualizar su WISP una oficina de impuestos?

Read in English

Dos textos responden esto. La Publicación 5708 del IRS da una revisión anual en su plan de muestra. La Regla de Salvaguardas (Safeguards Rule) de la FTC, 16 CFR Parte 314, da los casos que activan una revisión y algunos plazos fijos.

Qué dice la Publicación 5708

La publicación llama al plan escrito de seguridad de la información (WISP) un documento "evergreen" (traducción nuestra: «perenne») que se revisa, se prueba y se actualiza con regularidad junto con los cambios en el tamaño, el alcance y la complejidad de su negocio. La portada de su muestra dice "Should review and update at least annually." (traducción nuestra: «Debería revisarse y actualizarse al menos una vez al año.»)

El texto de muestra va más allá. Sugiere revisar el alcance de las medidas de seguridad al menos una vez al año, o cuando un cambio importante en las prácticas del negocio afecte la seguridad o la integridad de los registros que contienen información personal. Sugiere revisar todas las medidas de seguridad cada año a partir de una fecha del calendario que usted elija, y modificar el plan en cualquier momento en que se justifique. La muestra dice que a los empleados se les informa por escrito cuando el plan se modifica.

La publicación también sugiere actualizar cada año el Anexo C, los procedimientos ante una brecha de seguridad. Recomienda que las constancias de entendimiento del personal se actualicen en los intervalos de la capacitación anual y se guarden en el archivo. Estas son sugerencias de muestra.

Qué dice la regla

La sección 314.4(g) dice que evalúe y ajuste su programa a la luz de:

• los resultados de las pruebas y del monitoreo que usted hace;
• cualquier cambio importante en sus operaciones o en sus acuerdos comerciales;
• los resultados de las evaluaciones de riesgos; y
• cualquier otra circunstancia que usted sepa, o tenga motivos para saber, que puede tener un impacto importante en el programa.

Esa lista enumera casos que activan una revisión. El párrafo no da ningún intervalo de calendario.

Obligaciones con una indicación de tiempo, para toda oficina

• Haga evaluaciones de riesgos adicionales periódicamente (314.4(b)(2)).
• Revise los controles de acceso periódicamente (314.4(c)(1)).
• Revise su política de conservación de datos periódicamente (314.4(c)(6)(ii)).
• Evalúe a sus proveedores de servicios periódicamente, según el riesgo que presenten (314.4(f)(3)).
• Actualice la capacitación de concientización sobre seguridad según sea necesario para reflejar los riesgos que usted encontró (314.4(e)(1)).
• Pruebe o vigile con regularidad sus controles clave (314.4(d)(1)).

Plazos fijos, para oficinas con 5,000 consumidores o más

La sección 314.6 exime de estos a las oficinas que tienen información de menos de cinco mil consumidores. Las oficinas con 5,000 consumidores o más deben cumplirlos.

• A menos que tenga monitoreo continuo eficaz u otros sistemas que detecten cambios de forma continua, haga pruebas de penetración cada año y evaluaciones de vulnerabilidades al menos cada seis meses. Haga también una cuando sus operaciones o sus acuerdos comerciales cambien de manera importante, o cuando usted sepa, o tenga motivos para saber, de circunstancias que puedan tener un impacto importante en su programa (314.4(d)(2)).
• Haga que su Persona Calificada informe por escrito a su junta directiva, o a un funcionario superior si no hay junta, con regularidad y al menos una vez al año (314.4(i)).

Las oficinas más pequeñas igualmente siguen la primera lista, incluidas las pruebas o el monitoreo regulares en general. También sigue aplicando el aviso a la FTC por 500 consumidores o más, que se debe presentar lo antes posible y a más tardar 30 días después del descubrimiento. Vea la guía de la oficina de una persona y la guía sobre robo de datos.

Fuentes

• 16 CFR 314.2, 314.3, 314.4, 314.5, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314
• Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf

Esta es información general, no asesoría legal.